Squish & Co. — service diagnostic
Vérificateur d'en-têtes de sécurité
Vérifiez les six en-têtes HTTP de sécurité qui comptent et obtenez une note selon que chacun fait réellement son travail, et pas seulement qu'il a été envoyé. Un outil offert par Squish, sans inscription.
Essayez , , Sans inscription
Les résultats s'affichent ici. Saisissez un domaine pour commencer.
Ce que font vraiment les en-têtes de sécurité
Les en-têtes de sécurité sont des instructions que votre serveur envoie avec chaque page pour dire au navigateur ce qu'il peut autoriser. HSTS refuse le HTTP en clair. Content-Security-Policy limite d'où les scripts peuvent être chargés. X-Frame-Options empêche votre page d'être chargée dans le cadre invisible de quelqu'un d'autre. Ils ne coûtent rien à mettre en place et ferment des catégories entières d'attaques, mais seulement quand la valeur porte une vraie restriction : d'où une notation sur ce que fait chaque en-tête plutôt que sur sa simple présence.
Questions fréquentes
Quels en-têtes vérifiez-vous ?
Six, pondérés selon leur importance : HSTS et Content-Security-Policy à 25 points chacun, X-Frame-Options et X-Content-Type-Options à 15, Referrer-Policy et Permissions-Policy à 10. Cela fait 100 points, et la lettre suit le score.
Pourquoi ai-je perdu des points sur un en-tête que j'ai défini ?
Parce qu'un en-tête présent n'est pas toujours un en-tête qui agit. content-security-policy: default-src * autorise le script depuis n'importe quel hôte d'internet, et x-frame-options: ALLOWALL est une valeur qu'aucun navigateur n'honore depuis des années. Les deux sont notés sur ce qu'ils font, donc les deux reçoivent la moitié des points au lieu de la totalité.
Je n'ai pas X-Frame-Options et je passe quand même, pourquoi ?
Votre Content Security Policy porte frame-ancestors, qui fait le même travail et le remplace dans tous les navigateurs qui implémentent les deux. Définir aussi l'ancien en-tête est sans risque, mais son absence n'est pas une lacune.
Est-ce que cela me dit si mon site est sûr ?
Non. Cet outil lit les en-têtes d'une réponse et note cela. Il ne cherche pas de logiciel malveillant, ne teste pas votre connexion et ne regarde pas votre code. Une bonne note ici veut dire que vos en-têtes sont bien réglés, rien de plus, et nous préférons le dire plutôt que de laisser croire à un bilan de santé que nous n'avons pas mesuré.
Les en-têtes relèvent du serveur, pas du site. Ils se définissent une fois dans la configuration serveur, exactement la couche que l'hébergement infogéré existe pour vous retirer des mains.
Voir l'hébergement Squish →